Certificados SSL Wildcard Multi-Domínio

Um certificado SSL wildcard multi-domínio combina dois produtos num só: um certificado multi-domínio (SAN) e um certificado wildcard. Em vez de adquirir ambos separadamente ou gerir vários certificados na sua infraestrutura, protege vários domínios distintos e os subdomínios de cada um com um único certificado emitido.

O funcionamento baseia-se no campo SAN. O SAN, ou Subject Alternative Name, é uma extensão X.509 que lista todos os domínios cobertos por um único certificado. Dentro desse campo, as entradas podem ser nomes de domínio regulares, entradas wildcard ou uma combinação de ambos.

Uma configuração típica tem o seguinte aspeto:

• example.com
• *.example.com
• *.brand.net

Esse único certificado protege o domínio raiz example.com, todos os subdomínios de primeiro nível sob ele (shop.example.com, blog.example.com, entre outros) e todos os subdomínios de primeiro nível sob brand.net.

A maioria dos produtos nesta categoria suporta até 250 SANs no total, embora algumas marcas definam um limite inferior por padrão e outras permitam um número superior. Note que o caractere wildcard * cobre exatamente um nível de subdomínio.

A escolha entre os três depende da estrutura dos seus domínios:

• Tem um único website com muitos subdomínios? Um certificado wildcard resolve.
• Tem vários websites separados sem estrutura de subdomínios para gerir? Um certificado multi-domínio (SAN) é mais económico e simples.
• Quando tem vários websites e subdomínios em cada um, o certificado wildcard multi-domínio é o único produto que cobre ambos os padrões num único certificado – é por isso que compradores com portfólios de marcas ou domínios de clientes alojados acabam por escolher esta opção.

Os certificados wildcard multi-domínio são emitidos em dois níveis de validação: Validação de Domínio e Validação de Organização. Cada um verifica algo diferente sobre o requerente antes de o certificado ser emitido.

• O DV apenas verifica que o requerente controla os domínios listados.
  A validação é feita através de um de três métodos (e-mail, registo DNS ou verificação de ficheiro HTTP) e os certificados são emitidos em minutos. Sites pessoais e ambientes de desenvolvimento/teste enquadram-se aqui, bem como ferramentas internas e plataformas SaaS onde a rapidez é mais importante do que a identidade da organização apresentada.
• O OV verifica a empresa requerente através de registos oficiais:
  Registo comercial, morada registada e uma chamada de retorno para um número de telefone verificado. A emissão demora 1-2 dias úteis. O nome da empresa verificado aparece nos detalhes do certificado, onde compradores e equipas de segurança (e revisores de aquisições, em negócios de maior dimensão) o podem consultar. Sites de e-commerce, setores regulados e qualquer propriedade onde a identidade declarada no certificado tenha valor comercial beneficiam da verificação OV.

A Validação Estendida não está disponível para nenhum produto wildcard multi-domínio, em nenhum fornecedor.

Os Requisitos de Base do CA/Browser Forum proíbem entradas SAN wildcard em certificados EV, e a regra aplica-se a qualquer certificado que inclua mesmo uma única entrada wildcard. Esta situação mantém-se desde que o EV foi definido pela primeira vez e não sofreu alterações. Páginas que afirmam existir um “EV wildcard multi-domínio” estão erradas. Se precisar de EV para um domínio específico, adquira-o como um certificado EV de domínio único separado, em conjunto com o seu certificado wildcard multi-domínio.

Um último ponto que vale a pena referir diretamente: a força de encriptação é idêntica em DV, OV e EV. Os três negoceiam a mesma encriptação simétrica de 256 bits durante o handshake TLS. O nível de validação altera o que a CA verifica sobre o requerente, não o que é encriptado na comunicação.

A 11 de abril de 2025, o CA/Browser Forum aprovou a Votação SC-081v3, um calendário faseado que reduz o prazo máximo de validade de todos os certificados TLS públicos para 47 dias. O calendário tem três fases:

• Fase 1 – já em vigor desde 15 de março de 2026: a validade máxima dos certificados TLS públicos é agora de 200 dias.
• Fase 2 – 15 de março de 2027: o limite desce para 100 dias.
• Fase 3 – 15 de março de 2029: o limite desce para 47 dias.

A regra aplica-se a todos os certificados TLS públicos, a todos os níveis de validação (DV, OV, EV) e a todos os tipos de produto: wildcard, multi-domínio e wildcard multi-domínio incluídos.

Os compradores de certificados wildcard multi-domínio sentem esta mudança com mais impacto do que os compradores de certificados individuais. Uma renovação aqui é mais exigente porque é necessário comprovar novamente o controlo de cada domínio na lista SAN, não apenas de um. À medida que o limite de validade diminui, esse custo operacional agrava-se. Em 2029, estará a executar esse ciclo de renovação aproximadamente a cada 6-7 semanas. Quem planeia operações de vários anos com um portfólio de domínios deve pensar na automação agora, e não em 2029.

Se estiver pronto para automatizar, comece pela nossa página ACME. Uma ressalva honesta: nem todos os produtos wildcard multi-domínio disponíveis no mercado são igualmente compatíveis com automação. Os produtos DV com verificações simples de controlo de domínio automatizam sem problemas; os produtos OV que exigem ciclos de revalidação da organização introduzem fricção que o ACME por si só não elimina.

O SSL Dragon disponibiliza certificados EV de quatro Autoridades de Certificação.

• Portfólios corporativos com várias marcas
  Uma empresa que possui vários domínios de marca e subdomínios em cada um (brandA.com, *.brandA.com, brandB.net, *.brandB.net) pode substituir quatro ou mais aquisições de certificados separados por um único certificado emitido.
• Plataformas SaaS com subdomínios de clientes
  Quando cada cliente recebe um subdomínio personalizado como customer1.app.com e customer2.app.com, a cobertura wildcard no domínio da aplicação suporta um número ilimitado de clientes. Os restantes slots SAN cobrem o site de marketing, a página de estado e a API em domínios diferentes.
• Fornecedores de alojamento e agências
  A gestão de domínios de clientes em várias marcas, todos servidos a partir de infraestrutura partilhada, enquadra-se perfeitamente neste produto. Um certificado, um ciclo de renovação, uma chave privada a rodar.
• Ambientes Microsoft Exchange e de Comunicações
  Os certificados wildcard multi-domínio funcionam como Unified Communications Certificates (UCC), que é o que o Exchange requer quando precisa de vários nomes de host de serviço – autodiscover, mail, webmail, entre outros – representados no mesmo certificado.

1. Todos os domínios listados são públicos no certificado. Qualquer pessoa que clique no cadeado e inspecione os detalhes do certificado pode ler todos os domínios na lista SAN. Se não pretende que duas das suas marcas sejam publicamente associadas entre si, utilize certificados separados.
2. Uma entrada SAN wildcard não cobre automaticamente o domínio raiz. Uma entrada SAN de *.example.com cobre mail.example.com e shop.example.com, mas não cobre o próprio example.com. Adicione o domínio raiz como SAN próprio se necessitar dele.
3. Os wildcards padrão cobrem apenas um nível de subdomínio. *.example.com cobre mail.example.com mas não dev.mail.example.com. Para proteger níveis mais profundos, adicione o wildcard mais profundo como uma entrada SAN separada, como *.mail.example.com.
4. As reemissões são gratuitas, mas a data de expiração mantém-se. Adicionar ou remover um SAN a meio do ciclo não reinicia o contador; o novo certificado herda a data de expiração original. Para produtos DV, não é necessária revalidação para modificar SANs; para produtos OV, a validação de organização existente pode normalmente ser reutilizada se a alteração ocorrer dentro do período de validade.